使用IAM策略变量和TAG来控制EC2开关机权限

最新推荐文章于 2021-03-28 19:24:03 发布

原创

最新推荐文章于 2021-03-28 19:24:03 发布 · 2.1k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#AWS #ec2 #tag

本文介绍了如何通过AWS IAM策略变量和EC2的TAG来精细化控制用户对EC2实例的开关机权限。策略变量允许复用策略内容，而EC2的TAG用于标记实例属性和状态。创建一个IAM组，分配策略仅允许用户查看和操作与其username匹配的Operator TAG值的EC2实例，从而实现权限控制。

为了让EC2使用者自主控制EC2实例的开关机实例，需要设置相应策略给每个用户。

使用策略变量可以尽最大程度复用策略内容。

策略变量

在编写策略时，可以包含变量。

系统在验证策略时，会把变量用实际值替换掉来验证。

例如

${aws:username}

会被当前用户的实际用户名所替代

${aws:CurrentTime}

是当前时间

${aws:SourceIp}

是访问者的IP地址。

EC2的TAG

我们可以给EC2打上各种TAG来标记它的属性或状态。

这里，我们需要给EC2打上一个名为Operator的TAG，值为可以操作它的IAM的username。

假设给某一台EC2给一个值为TEST1的TAG。表明TEST1用户可以对这台机器进行操作。

IAM组

我们创建一个IAM组，自定义策略为

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["ec2:DescribeInstances"],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": ["ec2:RebootInstances","ec2:StartIn